2026-05 更新：04-28 快连 VPN 退出中国后，中资 VPN 风险被大量讨论。我们有更新版搭配五月当下的清单与自查方法 → 中资背景 VPN 风险清单 2026 五月版。本篇仍是学「怎么自己查」的好起点，看完建议再看清单版。
你打开 App Store，搜索「VPN」，随便下载了一个评分不错的免费 VPN。界面漂亮、一键连线、官网写着「总部位于新加坡」。
真相是——那个「新加坡总部」可能只是一个信箱地址，而真正控制这家公司的人在深圳。
我是小鹿，信息安全专栏作者。今天要聊一个很多人完全没意识到的问题：你手机里的那个 VPN，背后到底是谁的公司？ 如果它是中国公司持有的，这代表什么？
这不是在吓你。但如果你用 VPN 是为了保护隐私，那你至少应该知道：你把所有网络流量交给的那家公司，到底受哪国法律管。
为什么 VPN 的公司背景很重要？
你可能会想：「VPN 好用就好，公司在哪里有区别吗？」
区别很大。
VPN 本质上是一个中间人——你所有的网络流量都经过它。你去哪些网站、用什么 App、跟谁聊天、在什么时间上网、从什么地方连线——VPN 公司理论上全部看得到。
所以问题就变成：你信不信这家公司？
而「信不信」的一个关键指标，就是这家公司受哪国法律管辖。原因很简单：
中国法律要求：根据《网络安全法》和《国家情报法》第七条，中国公民和组织有义务「支持、协助和配合国家情报工作」。这不是我在危言耸听——这是法律条文白纸黑字写的。
没有拒绝的空间：不像某些国家的企业可以打官司抗拒政府的数据调取令，在中国，配合是义务，不是选项。
数据本地化要求：中国法律要求在境内运营的网络服务商将用户数据存放在中国境内的服务器。
所以，如果一家 VPN 公司的实际控制人或母公司在中国，即使它的官网写着「总部在英属维尔京群岛」，中国政府依然可以通过法律手段要求它交出用户数据。
你可能不知道，这不是理论上的风险——这是已经发生过的事。
VPNpro 调查：97 个品牌，只有 23 家母公司
2019 年，信息安全研究机构 VPNpro 发布了一份震撼报告。他们花了数个月时间，深入调查市面上热门的 VPN 品牌背后的公司结构。
结果令人惊讶：
97 个 VPN 品牌，背后实际上只有 23 家母公司
其中 6 家母公司位于中国，旗下控制了超过 29 个 VPN 品牌
很多品牌刻意隐藏自己的中国背景，在官网上完全找不到母公司信息
什么意思？你以为你在用的 VPN A 和 VPN B 是竞争对手，结果它们其实是同一家中国公司的产品。你换来换去，数据都流向同一个地方。
这份报告点名了几个具体的案例：
Innovative Connecting：一家总部在深圳的公司，旗下拥有多款在 App Store 和 Google Play 上排名靠前的免费 VPN，包括 VPN Proxy Master、Turbo VPN 等
Lemon Clove / ChatVPN：通过复杂的离岸公司结构隐藏中国背景
很多品牌的官网上找不到任何公司信息，甚至连「About Us」页面都没有
你可能不知道，这些 VPN 在各大应用商店的下载量加起来超过数亿次。也就是说，数亿人把自己的全部网络活动交给了一家他们一无所知的公司。
5 步骤：教你查出 VPN 背后的真正公司
好，理论讲完了。接下来是实际操作——我教你怎么自己动手查。
第 1 步：查公司注册地
去哪里查：
Crunchbase（crunchbase.com）：搜索 VPN 品牌名称，可以看到公司注册地、创始人信息、融资记录
Companies House（英国公司登记处）：如果 VPN 宣称在英国注册，直接去查，免费公开数据
OpenCorporates（opencorporates.com）：全球公司登记数据库，可以交叉比对
App Store / Google Play 的开发者信息：点进去看开发者名称和地址，很多人忽略这一步
你要注意什么：
公司名称跟品牌名称完全对不上（刻意隐藏）
注册地在 BVI、开曼群岛、塞舌尔等离岸天堂（不一定有问题，但要进一步查）
找不到任何公司信息（这是最大的红旗）
第 2 步：查母公司和投资人
一家 VPN 可能注册在巴拿马，但它的母公司在北京。
怎么查：
Crunchbase 的「Investors」和「Parent Company」栏位
Google 搜索「VPN 品牌名称 + parent company」或「VPN 品牌名称 + ownership」
LinkedIn 搜索公司创始人和高管，看他们的履历和所在地
查 WHOIS 数据：VPN 官网域名的注册人信息（虽然很多用隐私保护，但有时候能找到线索）
你要注意什么：
投资人里有中国的风投或国资背景
创始人和高管全部在中国
公司的 LinkedIn 页面上只有中国员工
第 3 步：查服务器位置和基础设施
一家宣称「不在中国运营」的 VPN，如果它的服务器大量部署在中国境内，那就有问题了。
怎么查：
看 VPN 官网的服务器列表——有没有中国节点？
用 VirusTotal 或 Shodan 查 VPN 的域名和 IP，看它的基础设施在哪里
连上 VPN 后用 traceroute 看流量路径
你要注意什么：
官网宣称「50 国服务器」但实际上大量流量经过中国
使用中国云服务商（阿里云、腾讯云）托管核心基础设施
第 4 步：查隐私政策的管辖法律
这一步最多人跳过，但其实最关键。
怎么查：
打开 VPN 的隐私政策（Privacy Policy），直接 Ctrl+F 搜索以下关键字：
「jurisdiction」（管辖权）
「governing law」（适用法律）
「People's Republic of China」（中华人民共和国）
「Hong Kong」（注意：2020 年后香港《国安法》实施，香港的法律环境已经改变）
「data transfer」（数据跨境传输）
「government request」（政府要求）
你要注意什么：
隐私政策注明适用中国法律或香港法律
隐私政策提到可能配合「法律要求」交出数据，但没有说明具体是哪国的法律
隐私政策写得含糊不清、避重就轻，对数据收集的范围语焉不详
真相是，很多 VPN 的隐私政策就是故意写得让人看不懂的
之前我在分析 VPN 日志政策时就发现，很多 VPN 的 No-Log 宣称和实际的隐私政策是矛盾的。公司背景调查要和日志政策分析一起做，才能看到完整的图。
第 5 步：查有无配合政府的记录
怎么查：
Google 搜索「VPN 品牌名称 + data breach」或「VPN 品牌名称 + user data leak」
搜索「VPN 品牌名称 + China」或「VPN 品牌名称 + government request」
查 VPN 有没有发布过透明度报告（Transparency Report）
查独立信息安全研究机构的调查报告
你要注意什么：
曾经有用户数据泄露的记录
被爆出配合政府要求交出数据（例如 IPVanish 和 PureVPN 的案例）
从来没有发布过透明度报告
从来没有接受过独立第三方审计
如果你想更深入了解 No-Log 审计的验证方式，可以参考这篇：VPN 真的不记录你的数据吗？
如果我的 VPN 真的是中资，会怎样？
让我讲得直白一点。
最坏的情况：
你的浏览记录被记录 — 包含你去过的每一个网站、用过的每一个 App
你的真实 IP 被记录 — 暴露你的实际位置
这些数据可能被依法交给中国政府 — 根据《国家情报法》，公司没有拒绝的权利
你完全不会知道 — 因为中国法律也禁止企业透露配合情报工作的情况
有人会说：「我又不是什么重要人物，谁会想看我的数据？」
你可能不知道，大规模监控的重点从来不是「挑出重要的人来监控」，而是先收集所有人的数据，等需要的时候再回头查。你今天可能不重要，但你不知道未来会不会因为某个搜索关键字、某次访问的网站、某个通讯对象，而被归入某个分类。
那些「安全」的 VPN 有什么不同？
一家值得信任的 VPN 通常具备以下特征：
公司结构透明：你可以轻松查到它的母公司、创始人、运营团队
注册在隐私友好国家：例如巴拿马（NordVPN）、英属维尔京群岛（ExpressVPN）、瑞士——这些地方没有强制数据留存法
通过独立审计：有 Deloitte、PwC、Cure53 等第三方机构的 No-Log 审计报告
有透明度报告：定期公布政府数据调取的请求次数和处理方式
不在五眼/九眼/十四眼联盟国家（加分但不是必要条件）
注意，我不是说所有中国背景的科技公司都在做坏事。但当你使用 VPN 这种涉及全部网络流量的工具时，公司背景和法律管辖是你必须考虑的因素。这跟信任无关，跟结构性风险有关。
快速自查清单
检查项目
安全信号
危险信号
公司注册地
隐私友好国家，信息公开
离岸空壳公司，查无信息
母公司 / 投资人
透明披露，非受管辖国家
中国母公司或国资投资人
服务器位置
明确列出，不经过中国
大量中国节点或中国云服务
隐私政策管辖法
明确标示隐私友好国家法律
适用中国或香港法律
配合记录
有透明度报告+独立审计
有泄露或配合政府的记录
（广告时间）
好吧讲了这么多，你可能会问我自己用什么。
Sunset Browser 是一个公司结构透明、不受中国法律管辖的产品。如果你担心免费 VPN 的背景问题，又不想花太多时间研究，可以考虑看看——打开就能用，免设置。
广告结束。
如果你对免费 VPN 的其他风险也感兴趣（不只是公司背景），可以看这篇完整分析：免费 VPN 安全吗？7 个你不知道的隐私风险。
结论：5 分钟的调查，保护你所有的上网隐私
你不需要成为信息安全专家，也能判断一家 VPN 是不是值得信任。
回顾一下今天教你的 5 个步骤：
查公司注册地 — Crunchbase、Companies House、App Store 开发者信息
查母公司和投资人 — 追溯实际控制人是否在中国
查服务器位置 — 核心基础设施是否在中国
查隐私政策管辖法律 — Ctrl+F 搜索 jurisdiction 和 governing law
查配合记录 — 有无泄露事件、有无透明度报告和独立审计
这 5 步大概花你 5 到 10 分钟。但这 5 到 10 分钟，决定了你接下来所有的网络活动——每一个搜索、每一则消息、每一次登录——是交给一家透明的公司，还是交给一个你什么都不知道的黑箱。
真相是，在 VPN 这个产业里，你不做功课，就永远不知道自己的数据去了哪里。
本文作者小鹿为独立信息安全专栏作者。如果这篇文章对你有帮助，欢迎分享给你身边也在用 VPN 的朋友。